Authentification sans mot de passe : Le bouton facile vers un monde sans mot de passe ?
Partie 1/2 de l’article
Inscrivez vous ci-dessous pour recevoir notre Newsletter chaque semaine :Â
L’authentification sans mot de passe est un objectif du Saint-Graal qui semble toujours hors de portĂ©e. Pourquoi sans mot de passe ? Eh bien, l’Ă©lĂ©ment humain est la cause première de la plupart des violations de donnĂ©es, 82 % provenant de mots de passe volĂ©s, de phishing, d’utilisations abusives et d’erreurs. N’oublions pas que les utilisateurs dĂ©testent carrĂ©ment les mots de passe. Ils nous ralentissent, en particulier sur les petits appareils oĂą il est facile de mal saisir les mots de passe. DĂ©barrassez-vous des mots de passe et voilĂ , le nombre de violations est considĂ©rablement rĂ©duit et les utilisateurs sont plus heureux !
Alors, quel est le hold-up ? Eh bien, plusieurs communautĂ©s ont eu des mesures de succès variables, mais pour ĂŞtre efficace, l’authentification sans mot de passe doit ĂŞtre omniprĂ©sente. Entièrement de bout en bout.
Continuez Ă lire pour en savoir plus sur le fonctionnement de l’authentification sans mot de passe, l’expĂ©rience utilisateur, les avantages de la sĂ©curitĂ© numĂ©rique et les considĂ©rations importantes pour les entreprises afin de crĂ©er un avenir sĂ©curisĂ© sans mot de passe
Qu'est-ce que l'authentification sans mot de passe ?
L’authentification sans mot de passe, parfois appelĂ©e simplement « sans mot de passe », est l’authentification de l’identitĂ© de l’utilisateur sans mot de passe, qui prĂ©sente une identitĂ© d’utilisateur sans exiger d’informations d’identification saisies. Une touche et vous ĂŞtes dedans.
Au lieu d’un mot de passe, nous utilisons des facteurs de possession tels que des mots de passe Ă usage unique, des appareils mobiles et des jetons matĂ©riels combinĂ©s Ă des facteurs biomĂ©triques uniques pour valider l’authenticitĂ© d’une personne. Une fois validĂ©, l’utilisateur peut alors dĂ©verrouiller et activer l’utilisation des facteurs de possession, protĂ©geant ainsi la confidentialitĂ© de la biomĂ©trie. Avec des normes et des protocoles comme passkey et FIDO2 (nous en reparlerons plus tard).
Le mot de passe peut ĂŞtre prĂ©sentĂ© comme un placage, masquant l’utilisation continue des mots de passe sous les couvertures.
Par exemple, si j’Ă©tais un dĂ©veloppeur de logiciels et que mon application n’est pas configurĂ©e pour le sans mot de passe, je ne voudrais pas encourir le coĂ»t du recodage de l’application. Au lieu de cela, je pourrais superposer un mĂ©canisme sans mot de passe qui invite un utilisateur Ă entrer son identifiant et un deuxième facteur tel qu’une empreinte digitale. Le mot de passe est ensuite injectĂ© dans les coulisses. Avec le mot de passe toujours en jeu, l’utilisateur est trompĂ© en pensant que le processus est sans mot de passe.
Comparez cela au processus de connexion traditionnel oĂą un utilisateur doit prĂ©senter un identifiant (gĂ©nĂ©ralement un nom d’utilisateur) et un vĂ©rificateur (tel qu’un mot de passe, une phrase secrète, un code PIN, des informations d’identification, une clĂ©, un certificat ou un autre type de secret). L’identifiant confirme l’identitĂ© de l’utilisateur et dĂ©termine quel vĂ©rificateur est nĂ©cessaire pour s’authentifier et fournir le niveau d’autorisations d’accès. 
Avec l’authentification sans mot de passe, les secrets sont toujours Ă©changĂ©s pour vĂ©rifier les autorisations et le niveau d’accès de l’utilisateur – ils sont simplement Ă©changĂ©s dans les coulisses. Les secrets peuvent ĂŞtre permanents ou temporaires, selon votre niveau de risque et vos objectifs de sĂ©curitĂ©.  
Authentification sans mot de passe : Saisies des clés d'accès
Comme indiquĂ© ci-dessus, il existe des informations d’identification qui amĂ©liorent l’expĂ©rience utilisateur et offrent une meilleure assurance pour les utilisateurs Ă haut risque et les services critiques.
Les informations d’identification FIDO en sont l’exemple le plus notable. Ils peuvent ĂŞtre utilisĂ©s dans un logiciel (par exemple, un Trusted Platform Module dans un ordinateur portable) ou avec un jeton matĂ©riel itinĂ©rant (par exemple, une YubiKey). Ils amĂ©liorent la sĂ©curitĂ© en reprĂ©sentant un autre facteur – quelque chose que vous avez – et en rĂ©sistant au phishing.
Au dĂ©part, les jetons FIDO augmentaient l’utilisation d’un mot de passe avec des facteurs supplĂ©mentaires. Plus rĂ©cemment, l’alliance FIDO s’est associĂ©e Ă Big Tech (Apple, Google et Microsoft) autour d’une nouvelle norme de clĂ© de sĂ©curitĂ© . Comme le dĂ©crit le site Web passkeys.io , un mot de passe est une nouvelle façon de se connecter qui fonctionne complètement sans mot de passe. Au lieu d’augmenter un mot de passe, il remplace entièrement le mot de passe. Les clĂ©s de passe s’appuient sur les normes FIDO existantes, ajoutant une expĂ©rience utilisateur et des avantages en matière de sĂ©curitĂ© numĂ©rique.
Les utilisateurs peuvent accĂ©der Ă leur clĂ© d’accès Ă partir de tous leurs appareils en utilisant une mĂ©thode qu’ils utilisent tous les jours : la vĂ©rification de leur empreinte digitale, de leur visage ou du code PIN de l’appareil. Il n’est pas nĂ©cessaire d’enregistrer un nouvel identifiant FIDO sur chaque nouvel appareil. Les fournisseurs de services peuvent prendre en charge l’authentification par clĂ© d’authentification sans avoir besoin de mots de passe, comme mĂ©thode alternative de connexion ou de rĂ©cupĂ©ration de compte. La gestion de la clĂ© privĂ©e peut ĂŞtre spĂ©cifique Ă l’Ă©cosystème ; par exemple, Apple utilisant son iCloud et Keychain pour rĂ©pliquer.
De plus, les clĂ©s de passe ont Ă©tĂ© combinĂ©es avec des technologies de remplissage automatique pour simplifier le processus de connexion pour les utilisateurs afin que l’identitĂ© de l’utilisateur soit automatiquement renseignĂ©e lors de l’accès Ă une application Web qui a Ă©tĂ© prĂ©cĂ©demment enregistrĂ©e pour une connexion basĂ©e sur la clĂ© de passe. Cela se traduit par une expĂ©rience «sans saisie» pour l’utilisateur une fois qu’il a effectuĂ© la vĂ©rification biomĂ©trique.
Des entreprises comme eBay, PayPal, BestBuy et Kayak ont ​​promis d’offrir une alternative de clĂ© d’accès pour la connexion, et les membres fondateurs de Big Tech ont tous mis Ă jour leurs systèmes et applications pour le prendre en charge. Ce niveau de support nous rapprochera d’un vĂ©ritable monde sans mot de passe de bout en bout.
Sans mot de passe pour l'entreprise
Les clés de sécurité ou quelque chose de similaire deviendront-elles de facto ?
Faire des clĂ©s de passe, la norme exigera que chaque fournisseur de services mette Ă jour son authentification existante basĂ©e sur un mot de passe. Nous pouvons nous attendre Ă ce que l’adoption sans mot de passe passe du cloud aux applications et systèmes hĂ©ritĂ©s. De nombreuses applications SaaS prennent dĂ©jĂ en charge les normes et protocoles modernes tels que OpenID Connect, SAML et OAuth2 pour l’authentification fĂ©dĂ©rĂ©e Ă partir d’un fournisseur d’identitĂ© de confiance, ainsi que l’authentification multifacteur (MFA), de sorte que l’ascenseur devrait ĂŞtre plus facile.
Toute application Web qui prend actuellement en charge FIDO2 devrait pouvoir tirer parti de la technologie de clĂ© de passe compte tenu de l’interopĂ©rabilitĂ©. Par exemple, les services d’identitĂ© au sein de la plate-forme Delinea prennent en charge l’authentification utilisateur sans mot de passe FIDO2 et basĂ©e sur un mot de passe. Cependant, les sites Web qui n’ont pas encore ajoutĂ© la prise en charge de FIDO2 devront ĂŞtre modifiĂ©s pour prendre en charge les clĂ©s de sĂ©curitĂ©.
Selon Forrester Research, de plus en plus d’entreprises adoptent l’authentification sans mot de passe. Un sondage rĂ©cent a rĂ©vĂ©lĂ© qu’environ la moitiĂ© expĂ©rimentent la connexion sans mot de passe. La plupart sont des projets pilotes, des programmes de preuve de concept et de petits dĂ©ploiements avec des groupes d’utilisateurs spĂ©cifiques. Des enquĂŞtes menĂ©es par des fournisseurs tels que Ping Identity et Yubico font Ă©tat d’un Ă©norme dĂ©sir informatique d’adopter l’authentification sans mot de passe. Alors, les dominos tombent.
Les clĂ©s d’accès sont idĂ©ales pour la connexion sans mot de passe aux ordinateurs portables et aux applications Web, mais les organisations doivent rĂ©flĂ©chir Ă la manière d’Ă©tendre le sans mot de passe aux serveurs et aux applications professionnelles. Les entreprises ont des besoins de sĂ©curitĂ© avancĂ©s et exigent un niveau de gestion de l’authentification plus strict.
Les organisations exigeront Ă©galement un niveau d’assurance plus Ă©levĂ© que l’utilisateur qui s’authentifie avec le mot de passe est celui pour qui il a Ă©tĂ© crĂ©Ă©. Une solution moderne de gestion des accès privilĂ©giĂ©s (PAM) pour la protection des serveurs, telle que Delinea Cloud Suite, prend en charge la connexion sans mot de passe et la MFA.
L’absence de mot de passe combinĂ©e Ă des informations d’identification solides peut satisfaire presque tous les scĂ©narios, facilitant la vie de l’utilisateur (tactile biomĂ©trique ou reconnaissance faciale pour y accĂ©der) et amĂ©liorant la sĂ©curitĂ© numĂ©rique des entreprises.
Plusieurs utilisations du déverrouillage biométrique :
- DĂ©verrouillage biomĂ©trique pour une authentification mutuelle forte basĂ©e sur la cryptographie aux ressources pour plus d’ubiquitĂ© et de facilitĂ© d’utilisation (par exemple, FIDO2 ou des clĂ©s de passe plus des protocoles de connexion fĂ©dĂ©rĂ©s comme SAML, OAuth et OpenID Connect.)
- DĂ©verrouillage biomĂ©trique pour l’authentification basĂ©e sur la cryptographie aux ressources oĂą une authentification mutuelle forte est impossible (par exemple, les certificats SSH.)
- DĂ©verrouillage biomĂ©trique pour accĂ©der Ă un secret partagĂ© comme solution de secours. C’est-Ă -dire un mot de passe ou une clĂ© SSH sous les couvertures oĂą un coffre-fort secret ou un portefeuille de mots de passe sous-jacent injecte automatiquement le mot de passe, applique une qualitĂ© de service Ă©levĂ©e et fait pivoter automatiquement le mot de passe.
Source : DelineaÂ
Inscrivez vous ci-dessous pour recevoir notre Newsletter chaque semaine :Â
